SBOMは"どこまで・何のために"作るのか？【関西コミュニティ（KISC）活動レポート】

はじめに 

マクニカでは、セキュリティの企画・導入・文化浸透を担う人たちが集まって互いの知見を共有し、現場の課題に取り組むためのコミュニティ「関西情報セキュリティコミュニティ（通称：KISC）」を運営しています。 

2025年4月に、自社サービスや製品をリリース・運用するためのお悩みや知見を共有する分科会「製品セキュリティ分科会」を発足し、2026年7月31日(金)に第4回目となるMeetupを関西大学梅田キャンパスにて実施しました。

今回は16名の方々に参加いただき、「SBOMは"どこまで・何のために"作るのか」について、たくさんの意見交換が行われました。本記事ではその様子をお届けします。  

　過去の製品セキュリティ分科会のレポートはこちら：
　　Vol.1：製品セキュリティの組織体制や人材の在り方とは？【関西コミュニティ（KISC）活動レポート】 
　　Vol.2：CRAなど法規制や規格対応の実情とは？【関西コミュニティ（KISC）活動レポート】
　　Vol.3：SBOMについてみんなで語ろう -導入のアレコレ交換会-【関西コミュニティ（KISC）活動レポート】

目次 

・テーマ設定の背景 
・当日の様子 
・まとめ 
・参加者の反応 

テーマ設定の背景 

前回の製品セキュリティ分科会Vol.3では「SBOMに関する取り組み」をテーマにMeetupを開催しました。その際に、SBOMに関する取り組みはまだまだ不透明な部分が多く、手探りで進めている企業様が多いと感じたことから、より深ぼりしてSBOMについての情報交換を行うために、第3回に引き続きSBOM（Software Bill of Materials／ソフトウェア部品表）に焦点を当てました。 

イベントアジェンダ 

・オープニング
・初参加企業ライトニングトーク
・グローリー株式会社/パナソニックインダストリー株式会社/古野電気株式会社/オムロン株式会社によるパネルディスカッション
　　①SBOMは"どこまで・何の目的で"作るのか
　　②SBOMを"作った後"、脆弱性トリアージをどのように運用するのか
　　③サプライチェーン／3rdパーティにSBOMをどのように要求し、どのように活用するのか
・テーマ別グループディスカッション
・全体共有
・クロージング

当日の様子 

今回の分科会では、「参加企業4社によるパネルディスカッション」と「テーマ別グループディスカッション」を行いました。 

参加者の属性としては、製造業を中心に、研究開発、ソフトウェア／ハードウェア開発、品質保証、生産技術、情報システム部門など、製品セキュリティに関わる多様な部門の方々に参加いただきました。  

第1回・第2回・第3回から継続してご参加いただいている方も多く、回を重ねることで参加者同士の距離感がより近くなっている様子が印象的でした。 

製品セキュリティという、明確なまだ正解が見えづらく、手探りで取り組む企業が多いテーマだからこそ、社名や立場を越えて本音を共有できる、数少ない場として機能し始めていることを改めて実感する時間となりました。 

「初参加企業のライトニングトーク」では、各社の事業や業務内容に加え、SBOM対応の取り組み状況や課題感が共有されました。
特に印象的だったのは、「SBOM」という同じテーマに向き合っていても、企業ごとに置かれている状況や課題の出発点が異なることです。CRA対応を契機に整備を進めている企業、脆弱性管理ツールを活用しながら運用方法を模索している企業、製品セキュリティの基盤づくりを進めている企業など、それぞれの立場から具体的な悩みが共有されました。
後半のディスカッションが盛り上がった要因の一つとして、事前に参加者それぞれの背景や課題感を共有したことで、お互いの立場を理解しながら議論を進められたことが挙げられています。

「参加企業4社によるパネルディスカッション」では、所属企業で製品セキュリティを主導している方から、自社でのSBOMの取り組み・脆弱性のトリアージ・サプライチェーンへのSBOMの要求状況・活用方法を発表いただきました。  

業界や企業規模を問わず共通のお悩みが多くでる一方で、それぞれの立場ならではの工夫や課題について意見が交わされました。

ディスカッションを進める中で、7月30日に経済産業省が公開した「サイバーセキュリティのためのソフトウェア部品票（SBOM）の最小要素に関する国際ガイダンスへの共同署名」について触れられるなど、最新情報の共有も含まれたディスカッションとなりました。

 「テーマ別グループディスカッション」については、テーマごとに振り返りができればと思います。

テーマ1：SBOMは"どこまで・何の目的で"作るのか

このテーマでは、SBOMを「何のために作るのか」「どこまで管理対象とするのか」について議論しました。

参加者からは、「自社のソフトウェア管理のため」「脆弱性管理のためにSBOMを作成している」といった声がありました。また、「SBOM作成は必要性に迫られている」「不明な項目は"不明"として扱ってよい」といった実務的な気づきも共有されていました。

一方で、運用面ではさまざまな課題が見えてきました。例えば、「SBOMの正しさをどのように担保するのか」「OSSが少なく自社開発が多いため自動生成が難しい」「古くなったSBOMをどう扱うか」「SBOMの一覧が常に最新であり、かつ脆弱性が無いことをどう確認するか」といった議論が交わされました。

こうした課題に対して、今後のアクションとしては、新バージョンのSBOMやOSSの登録を優先し、古いバージョンのSBOMや購入品コンポーネントの優先度を見直すことがあげられました。また、購入品コンポーネントについては契約文書を活用して管理責任を明確化することや、SBOMの内容を確認する手段を整備することも重要な取り組みとして共有されました。

テーマ2：SBOMを"作った後"、脆弱性トリアージをどう回すか

このテーマでは、SBOMを作成した後の脆弱性管理、特にトリアージをどのように運用していくかについて議論しました。

参加者からは、「トリアージのやり方は他社も同じで安心した」「技術部門にトリアージまで任せる企業が多い」「手間がかからない方法で判断する仕組みが必要」といった気づきが共有されました。

一方で、悩みとしては、「対外的に納得してもらえるトリアージ方法は何か」「誰がトリアージするのか」「設計担当者以外がトリアージできるのか」「トリアージ結果を誰がレビュー、承認するのか」といった役割分担や判断基準に関する論点が挙がりました。さらに、NVD登録後に即時チェックすると更新が発生することや、EPSSなど更新される情報によって判断がぶれないかという懸念も示されました。また、「Linuxの脆弱性が多いこと」、「CPEやPURLのないコンポーネントの脆弱性をどう見るか、対象が溜まって放置されないようにするにはどうすればよいか」、といったより具体的な悩みも挙がっていました。

今後のアクションとしては、まずトリアージ基準や規定を策定し、優先度の高いものから段階的に導入することや、AIを活用したトリアージへの挑戦にも高い関心が寄せられていました。

今回の議論を通じて見えてきたのは、SBOM作成後の運用をいかに現実的かつ継続的に回していくかという点です。

最初から完璧な仕組みを目指すのではなく、まずは優先度の高い判断基準から整備し、運用しながら改善を重ねていくことの重要性が感じられる議論となりました。

テーマ3：サプライチェーン/3rdパーティにSBOMを"どう要求し、どう使うか"

このテーマでは、サプライヤや3rdパーティからSBOMをどのように取得し、実際の脆弱性管理に活用していくかについて議論が行われましたが、現時点では3rdパーティにSBOM要求をしていない企業が多いようでした。

また、「SBOMよりもVMP、VDPを確認することが重要ではないか」といった気づきや、「脆弱性管理そのものを3rdパーティに依頼するという考え方」も話題にあがりました。

一方で、悩みとしては、「サプライチェーンでどこまで責任を負うべきか」「サプライヤからのセキュリティ更新をどう社内対応フローにつなげるか」「子会社と自社でSBOM管理を分けるか否か」といった論点が挙げられていました。また、「サプライヤからSBOMをもらった後の管理や更新」「TARA(Threat Analysis and Risk Assessment)のためにサプライヤSBOMが必要か」「SBOMのフォーマットが合意できないこと」「調達をどう巻き込むか」といった悩みも挙がりました。

今後のアクションとしては、3rdベンダーの取り扱いを社内ルール化することや、SBOMを受領した後の運用を検討すること、脆弱性管理についてベンダーと対話してみることなどの意見が出されました。

SBOMはサプライヤから受け取れば終わりではなく、受け取った情報をどう管理し、どう社内の脆弱性対応フローにつなげるかを考える必要があります。今回の議論では、SBOM単体ではなく、VMPやVDP、脆弱性管理プロセス、購買や調達との連携を含めて考える重要性が浮き彫りになりました。

各社の状況や、参加者が担う役割によって抱える課題はさまざまですが、参加者同士が「実務的な目線」で経験や課題を共有しながら学び合い、熱気あふれる時間となりました。

まとめ 

今回の製品セキュリティ分科会 Vol.4では、SBOMを「作る」だけではなく、「何のために作るのか」「作った後にどう運用するのか」「サプライチェーンとどう向き合うのか」といった、より実践的なテーマについて意見交換をしました。

議論としては、SBOMの正しさをどう担保するか、脆弱性トリアージを誰がどの基準で行うか、サプライヤから受け取ったSBOMをどう管理するかなど、現場で直面している具体的な悩みが多く共有されました。

一方で、トリアージ基準の策定、AI活用への挑戦、3rdパーティ取り扱いのルール策定、ベンダーとの脆弱性管理に関する対話の強化など、次につながる具体的なアクションについても多くの意見が交わされました。

SBOMや製品セキュリティへの取り組みは、まだ発展途上の領域です。だからこそ、同じ悩みを持つ実務者同士が集まり、現場のリアルや実践例を共有しながら、一緒に前へ進んでいくことに大きな価値があります。今後も、製品セキュリティに関わる方々が立場や業界を越えて学び合える場として、KISC製品セキュリティ分科会を盛り上げていきたいと思います。

参加者の反応 

今回は、参加者全員から満足度の高いイベントを開催することができ、７割を超える参加者の方が「コミュニティでの情報交換や交流が役に立った」と回答しており、参加者同士の対話や知見共有の価値が改めて確認されました。 

アンケートでも、 
「各社のさまざまな取り組みが参考になった」 
「他社の状況を知ることで、自社の立ち位置を把握できた」 
「具体的な事例やツール、AI活用の話が実践のヒントになった」 
といった声が多く寄せられ、実務に直結する学びの多い場となったことがうかがえます。

最後に 

KISC製品セキュリティ分科会は、ユーザ企業同士の情報交換に加え、製品セキュリティ分野における豊富な経験や知見を持つ有識者にも参加いただき、実務に即した視点でのコメントやアドバイスが得られる点も特長の一つです。 

現場で直面している課題や悩みを共有しながら、専門的な知見も交えて議論できる場として、単なる情報交換にとどまらない、より実践的な学びの機会を提供しています。 

SBOMや製品セキュリティへの取り組みに課題意識をお持ちの方は、ぜひ次回のMeetupにもご参加ください。 

「関西情報セキュリティコミュニティ」に是非参加してみたい、という方は以下HPからコミュニティへの登録を、お待ちしています！
※東京・名古屋にも開催地を拡大中！
※本コミュニティは企業のサイバーセキュリティを担う方限定のコミュニティとなります。

▼Taneva（対象：自社のセキュリティを担う方はどなたでもご参加可能）　参加お申込みはこちら

▼KISC：関西版コミュニティ（対象：マクニカから製品・サービスをご購入いただいているお客様） 参加お申し込みはこちら

▼IST2：東京版コミュニティ（対象：マクニカから製品・サービスをご購入いただいているお客様） 参加お申し込みはこちら

▼Ikomai：東海版コミュニティ（対象：マクニカから製品・サービスをご購入いただいているお客様） 参加お申し込みはこちら